Deepfakes et fausses voix : protéger son entreprise d’une demande urgente

Par Ethan Ben Amram · 3 min de lecture

Votre dirigeant appelle : il faut payer un fournisseur immédiatement, et garder l’opération confidentielle. Vous reconnaissez sa voix. Le bon réflexe reste de vérifier la demande par un autre canal avant d’agir.

L’identité apparente ne suffit pas

Les outils de synthèse vocale ont des usages légitimes, notamment pour l’accessibilité. Ils peuvent aussi faciliter une usurpation. La FTC documente les risques liés au clonage de voix, y compris pour les entreprises. Reconnaître une intonation familière ne constitue pas une authentification.

Le FBI a également décrit une campagne d’usurpation utilisant des messages vocaux générés par IA. Cela ne signifie pas que tout appel suspect utilise un deepfake : un email convaincant ou un compte compromis peuvent suffire.

Le point commun est la tentative de vous faire agir avant de vérifier. Urgence, secret, changement inhabituel de procédure : ces éléments méritent votre attention, même lorsque le message semble bien rédigé et la voix naturelle.

Trois situations à préparer avec l’équipe

Voici trois scénarios fictifs utilisables en réunion. Ils servent à tester votre procédure, pas à raconter des incidents clients.

• Le faux dirigeant. Une personne demande un virement exceptionnel en invoquant une acquisition confidentielle. La question à poser : qui peut confirmer indépendamment cette opération ?
• Le fournisseur qui change de RIB. Un message annonce de nouvelles coordonnées bancaires juste avant une échéance. Qui rappelle le contact habituel, avec un numéro déjà enregistré ?
• Le faux support informatique. Un interlocuteur demande un code de connexion ou un accès à distance. Comment joindre votre véritable support sans utiliser le lien fourni dans le message ?

Une procédure courte, connue à l’avance

La fiche de Cybermalveillance.gouv.fr sur les faux ordres de virement recommande notamment des vérifications indépendantes et des procédures de validation. Le rappel doit utiliser des coordonnées déjà connues, et non celles ajoutées à la demande suspecte.

1. Suspendre l’action. Ne pas payer, transmettre un document sensible ou communiquer un code pendant la vérification.
2. Recontacter par un canal fiable. Utiliser l’annuaire interne ou une fiche fournisseur vérifiée. Répondre dans la même conversation ne suffit pas si le compte est compromis.
3. Appliquer la validation prévue. Une demande urgente ne doit pas autoriser à contourner les contrôles habituels. Définir une seconde validation pour les opérations sensibles selon votre organisation.
4. Signaler et conserver. Alerter le responsable désigné et conserver le message, l’heure, le numéro affiché et les informations utiles à l’analyse.

Si l’action a déjà été faite

En cas de virement frauduleux, contactez immédiatement votre banque pour tenter de bloquer l’opération ou récupérer les fonds, sans garantie de succès. Prévenez le responsable interne, conservez les preuves et suivez la fiche officielle pour le signalement et le dépôt de plainte. Si un accès a été communiqué, faites intervenir votre support pour le révoquer.

La détection visuelle ou sonore peut contribuer à une alerte, mais votre procédure doit fonctionner même si personne ne remarque le trucage. Une caméra nette ou une voix crédible ne justifient pas de supprimer une étape de validation.

Un exercice de quinze minutes

Présentez l’un des scénarios à l’équipe. Demandez à chacun qui il contacte et où il trouve le bon numéro. Vous pouvez faire cet exercice avec un simple texte : nul besoin de cloner une vraie voix, de tromper un collègue ou d’effectuer un paiement. Le livrable attendu est une procédure que chacun sait retrouver.